Gnosis Pay a divulgué le 6 novembre une violation de données clients affectant le système hérité derrière ses cartes de paiement de marque, affirmant que les fonds n'étaient pas affectés et que des contrôles de sécurité supplémentaires resteraient en place jusqu'à la fermeture prévue de la plateforme en décembre.
Résumé
- Un accès non autorisé a été détecté le 3 novembre, le confinement ayant commencé dans les deux heures, selon Gnosis Pay.
- Les clients affectés ont reçu des e-mails individuels expliquant quelles informations avaient été prélevées sur leurs comptes.
- Des contrôles 3D Secure obligatoires s'appliquent désormais à tous les paiements par carte en ligne jusqu'à la fermeture du système grand public.
- Les utilisateurs ont remis en question la réponse de l'entreprise et exprimé des inquiétudes concernant l'hameçonnage après l'exposition d'informations personnelles.
Selon la divulgation de Gnosis Pay, l'intrusion a affecté son activité grand public, qui exploite les cartes de marque Gnosis Pay. Sa plateforme d'entreprise, utilisée pour alimenter les programmes de cartes en marque blanche pour d'autres entreprises, n'a pas été affectée.
L'entreprise a déclaré que son équipe de sécurité avait réagi immédiatement après que les systèmes de surveillance ont détecté un accès non autorisé le 3 novembre. Le confinement a commencé dans les deux heures, suivi du remplacement des identifiants de sécurité affectés et d'un correctif pour la vulnérabilité.
Gnosis Pay ajoute des contrôles de paiement après l'exposition d'informations clients
Chaque client affecté a reçu un e-mail le 6 novembre avec les détails des informations prélevées sur son compte, a déclaré l'entreprise. Sa déclaration publique n'a pas donné de nombre de clients ni listé les catégories d'informations exposées sur les comptes affectés.
Gnosis Pay a déclaré avoir signalé la violation à ses partenaires et être en communication avec les autorités de protection des données compétentes et son émetteur de cartes.
Bien que l'entreprise ait affirmé que les fonds n'étaient pas affectés, elle a reconnu que la protection des informations personnelles était tout aussi importante. Elle mène un examen complet, applique les leçons tirées à l'ensemble de ses systèmes et organise une surveillance spécialisée pour détecter les signes d'utilisation abusive des informations exposées.
L'activité des cartes et les portefeuilles font l'objet d'une surveillance renforcée pour détecter les fraudes ou les tentatives d'accès aux fonds des clients. Gnosis Pay a rendu le 3D Secure, une étape de vérification supplémentaire pour les achats en ligne, obligatoire pour tous les paiements par carte en ligne.
L'entreprise a déclaré que ces mesures de protection resteraient en place jusqu'à la mise hors service du système grand public le 20 décembre.
Les utilisateurs contestent la réponse et expriment des inquiétudes concernant l'hameçonnage
Les réponses à l'annonce de l'entreprise ont remis en question ce que signifierait l'acceptation de la responsabilité pour les clients affectés. Plusieurs utilisateurs ont contesté qu'un simple excuse suffise, tandis que d'autres ont appelé à la fermeture immédiate du service.
Un répondant, publiant sous le nom de Zoodirektor, a demandé : « Que signifie “vous assumez l'entière responsabilité” ? » Un autre, publiant sous le nom de dramanoodle, a exprimé des inquiétudes concernant d'autres e-mails frauduleux et des attaques physiques ciblant les détenteurs de cryptomonnaies.
Les réponses montrent des inquiétudes concernant l'exposition d'informations personnelles malgré l'assurance de l'entreprise que les fonds n'étaient pas affectés. Les propres conseils aux clients de Gnosis Pay avertissaient que des messages suspects pouvaient contenir de véritables détails personnels ou faire référence à un achat réel.
Il a été demandé aux clients d'éviter les liens dans les e-mails, textos, appels ou lettres inattendus concernant Gnosis Pay, les applications partenaires ou leurs cartes. L'entreprise a conseillé d'ouvrir directement l'application web officielle ou l'application partenaire.
Il a déclaré que ni Gnosis Pay ni ses partenaires ne demanderaient de phrases de récupération, de clés privées, de codes PIN ou de numéros de carte complets. Ils ne demanderaient pas aux clients de vérifier à nouveau leur identité par e-mail ou par SMS, ni ne leur ordonneraient de transférer des fonds par messages ou par appels téléphoniques.
La fermeture de décembre a été annoncée avant la violation
La date de retrait est antérieure à l'incident de novembre. Un avis formel publié le 21 septembre fixait la fin des services de carte de marque au 20 décembre 2026 à 23h59 UTC.
Les cartes physiques et virtuelles cesseront d'autoriser les transactions à ce moment-là. L'application web conservera la fonctionnalité de retrait, et les clients continueront de posséder les actifs détenus dans leurs comptes Safe en auto-conservation, selon l'avis.
Les clients qui souhaitent conserver l'accès à une carte doivent rejoindre un programme partenaire selon de nouvelles conditions. Le transfert est facultatif, mais les cartes de marque existantes cesseront de fonctionner dans tous les cas.
L'avis demande aux titulaires de carte d'exporter leurs historiques de transactions avant la fermeture et de mettre à jour les paiements récurrents auprès des marchands. Le support général aux titulaires de carte doit prendre fin le 18 juin 2027, tandis que le support pour les remboursements, les litiges et les rétrofacturations se poursuit jusqu'au 12 juin 2028.
Une précédente exploitation de 1,5 million de dollars a affecté l'infrastructure des cartes
La divulgation fait suite à une exploitation distincte de comptes de carte en juin, précédemment couverte par crypto.news, impliquant environ 1,5 million de dollars en actifs numériques.
Dans son analyse post-mortem de juillet, Gnosis Pay a attribué cet incident à une faille dans le cadre de contrat intelligent Zodiac et a déclaré que les clients affectés avaient été entièrement remboursés. La divulgation de novembre concerne les informations des clients ; l'entreprise n'a pas déclaré que les incidents partagent une même cause.
Les clients affectés par la dernière violation ont reçu des recommandations spécifiques à leur compte. Gnosis Pay a dirigé toute personne ayant des préoccupations vers [email protected] et a déclaré que son équipe de support donnait la priorité aux personnes directement affectées.
